Настройка параметров сети для Azure Key Vault

1. Перейдите в хранилище ключей, которое вы хотите защитить.
2. Щелкните Сеть и выберите вкладку Брандмауэры и виртуальные сети.
3. В разделе Разрешить доступ из щелкните Выбранные сети.
4. Чтобы добавить имеющиеся виртуальные сети в правила брандмауэров и виртуальных сетей, выберите + Добавить существующие виртуальные сети.
5. В новой открывшейся колонке выберите подписку, виртуальные сети и подсети, которым нужно предоставить доступ к этому хранилищу ключей. Если в выбранных вами виртуальных сетях и подсетях нет включенных конечных точек службы, подтвердите, что вы хотите включить конечные точки службы, и нажмите кнопку Включить. Эта настройка вступит в силу в течение 15 минут.
6. В разделе IP-сетей добавьте диапазоны адресов IPv4 путем ввода диапазонов адресов IPv4 в нотации CIDR (маршрутизация между доменами без классов) или отдельных IP-адресов.
7. Если вы хотите разрешить доверенным службам Майкрософт обход брандмауэра Key Vault, выберите "Да". Полный список текущих доверенных служб Key Vault см. по следующей ссылке. Доверенные службы Azure Key Vault
8. Выберите Сохранить.

Вы также можете добавить новые виртуальные сети и подсети, а потом включить конечные точки службы для них, выбрав + Добавить новую виртуальную сеть. Затем следуйте инструкциям на экране.

Вот как настроить брандмауэры и виртуальные сети Key Vault с помощью Azure CLI

1. Установите Azure CLI и войдите.

2. Список доступных правил виртуальной сети. Если для этого хранилища ключей не заданы правила, список будет пустым.

   az keyvault network-rule list --resource-group myresourcegroup --name mykeyvault
   

3. Включите конечную точку службы для Key Vault в существующей виртуальной сети и подсети.

   az network vnet subnet update --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --service-endpoints "Microsoft.KeyVault"
   

4. Добавьте сетевое правило для виртуальной сети и подсети.

   subnetid=$(az network vnet subnet show --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --query id --output tsv)
   az keyvault network-rule add --resource-group "demo9311" --name "demo9311premium" --subnet $subnetid
   

5. Добавьте диапазон IP-адресов, из которого будет разрешен трафик.

   az keyvault network-rule add --resource-group "myresourcegroup" --name "mykeyvault" --ip-address "191.10.18.0/24"
   

6. Если это хранилище ключей должно быть доступно любым доверенным службам, установите значение bypassAzureServices.

   az keyvault update --resource-group "myresourcegroup" --name "mykeyvault" --bypass AzureServices
   

7. Включите сетевые правила, задав для действия по умолчанию значение Deny.

   az keyvault update --resource-group "myresourcegroup" --name "mekeyvault" --default-action Deny
   

Вот как настроить брандмауэры и виртуальные сети Key Vault с помощью PowerShell:

1. Установите последнюю версию Azure PowerShell и выполните вход.

2. Список доступных правил виртуальной сети. Если для этого хранилища ключей не заданы правила, список будет пустым.

   (Get-AzKeyVault -VaultName "mykeyvault").NetworkAcls
   

3. Включите конечную точку службы для Key Vault в существующей виртуальной сети и подсети.

   Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" -AddressPrefix "10.1.1.0/24" -ServiceEndpoint "Microsoft.KeyVault" | Set-AzVirtualNetwork
   

4. Добавьте сетевое правило для виртуальной сети и подсети.

   $subnet = Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"
   Add-AzKeyVaultNetworkRule -VaultName "mykeyvault" -VirtualNetworkResourceId $subnet.Id
   

5. Добавьте диапазон IP-адресов, из которого разрешен трафик.

   Add-AzKeyVaultNetworkRule -VaultName "mykeyvault" -IpAddressRange "16.17.18.0/24"
   

6. Если это хранилище ключей должно быть доступно любым доверенным службам, установите значение bypassAzureServices.

   Update-AzKeyVaultNetworkRuleSet -VaultName "mykeyvault" -Bypass AzureServices
   

7. Включите сетевые правила, задав для действия по умолчанию значение Deny.

   Update-AzKeyVaultNetworkRuleSet -VaultName "mykeyvault" -DefaultAction Deny